Azure NSG Analyzer
Füge einen Azure-NSG-Export ein, um offene Ports und versteckte Konflikte zwischen Subnetz- und NIC-Regeln zu finden, mit Diagramm.
Läuft im Browser · es wird nichts gesendetAzureNeu
Alles läuft in deinem Browser. Es wird nichts gesendet, auch keine Abonnement-IDs, Ressourcennamen oder IP-Bereiche aus deinem Export.
So geht’s
- Führe "az network nsg show --resource-group <rg> --name <nsg> --output json" aus (oder "az network nsg list", um mehrere zu vergleichen), oder exportiere eine ARM-Vorlage.
- Füge das JSON in das Tool ein.
- Sieh dir die Ergebnisse, das Diagramm und die Gruppentabelle an.
- Wenn du mehr als eine NSG eingefügt hast, prüfe „Konflikte zwischen NSGs“ auf Regeln, die sich gegenseitig aufheben.
Typische Szenarien
Füge sowohl die Subnetz-NSG als auch die NIC-NSG einer VM ein, um zu sehen, ob ein Deny in der einen ein Allow in der anderen außer Kraft setzt.
Exportiere die NSG und suche vor einem geplanten Audit nach für das Internet offenen Ports, redundanten Regeln und Duplikaten.
Erklärung
Füge die JSON-Ausgabe von "az network nsg show" oder "az network nsg list" ein (oder eine ARM-Vorlage, oder die Ausgabe von "az network nsg rule list"), und das Tool prüft jede eigene Regel auf häufige Probleme: Ports, die für das gesamte Internet offen sind, sensible Dienste ohne Einschränkung, verdeckte oder redundante Regeln und Duplikate. Die 6 automatischen Standardregeln (AllowVNetInBound, DenyAllInBound und ähnliche) sind standardmäßig ausgeblendet, da sie keine Konfigurationsentscheidung sind. Das Tool zeichnet ein Diagramm des erlaubten Verkehrs, zeigt die Auswirkung des Entfernens einer markierten Regel, und wenn du mehr als eine NSG einfügst, meldet es Konflikte zwischen ihnen: ein Allow in der einen, das durch ein Deny in der anderen außer Kraft gesetzt wird, was passiert, weil Azure verlangt, dass sowohl die Subnetz-NSG als auch die NIC-NSG den Verkehr erlauben, bevor er durchkommt. Alles läuft lokal; der Export verlässt deinen Browser nie.
🔒 Deine Eingabe bleibt in deinem Browser und wird nirgendwohin gesendet.
Häufige Fragen
Verbindet sich das mit meinem Azure-Abonnement?
Nein. Es gibt keine Zugangsdaten und keine API-Aufrufe. Du exportierst die NSG selbst über die Azure-CLI, PowerShell oder eine ARM-Vorlage und fügst das JSON hier ein.
Warum sind manche Regeln standardmäßig ausgeblendet?
Azure fügt jeder NSG automatisch 6 Standardregeln hinzu (VNet-Verkehr erlauben, den Azure-Load-Balancer erlauben, alles andere verweigern, für beide Richtungen). Das ist keine selbst getroffene Konfiguration, daher sind sie ausgeblendet, es sei denn, du möchtest sie sehen, damit die Ergebnisse auf deine eigenen Regeln fokussiert bleiben.
Was bedeutet ein Konflikt zwischen NSGs?
Eine Netzwerkkarte und ihr Subnetz können jeweils eine eigene NSG haben, und Azure lässt Verkehr nur durch, wenn beide ihn erlauben. Wenn die eine NSG einen Port erlaubt und die andere ihn verweigert, wird der Verkehr in der Praxis blockiert; dieses Tool hebt das hervor, damit du nicht die falsche NSG debuggst.
Wie werden VirtualNetwork- und AzureLoadBalancer-Tags behandelt?
Das sind von Azure verwaltete Gruppen, keine öffentlichen IP-Bereiche, daher werden sie im Diagramm namentlich angezeigt und gelten nie als „offen für das Internet“. Nur „*“ und „Internet“ gelten als das gesamte Internet.
Wie geht es weiter?
Problem gefunden oder einen Vorschlag? Schreib uns